Disebabkan oleh lubang keselamatan dalam WhatsApp, penyerang boleh menukar kandungan mesej yang dihantar

Banyak kelemahan telah didedahkan pada persidangan keselamatan Black Hat yang sedang berlangsung. Antaranya ialah pepijat dalam aplikasi WhatsApp yang membolehkan penyerang menukar kandungan mesej.

Lubang dalam WhatsApp boleh dieksploitasi dalam tiga cara yang mungkin. Yang paling menarik ialah apabila anda menukar kandungan mesej yang anda hantar. Akibatnya, teks yang sebenarnya anda tidak tulis akan dipaparkan.

Terdapat dua pilihan:

• Penyerang boleh menggunakan ciri "balas" dalam sembang kumpulan untuk mengelirukan identiti pengirim mesej. Walaupun orang yang berkenaan tidak berada dalam sembang kumpulan sama sekali.
• Tambahan pula, dia boleh menggantikan teks yang dipetik dengan sebarang kandungan. Oleh itu, ia boleh menulis ganti sepenuhnya mesej asal.

Dalam kes pertama, mudah untuk menukar teks yang dipetik untuk menjadikannya kelihatan seperti anda menulisnya. Dalam kes kedua, anda tidak menukar identiti pengirim, tetapi hanya mengedit medan dengan mesej yang dipetik. Teks boleh ditulis semula sepenuhnya dan mesej baharu akan dilihat oleh semua peserta sembang.

Video berikut menunjukkan semuanya secara grafik:

Pakar Check Point juga menemui cara untuk menggabungkan mesej awam dan peribadi. Bagaimanapun, Facebook berjaya membetulkannya dalam kemas kini WhatsApp. Sebaliknya, serangan yang diterangkan di atas tidak diperbetulkan oleh a mungkin tidak dapat memperbaikinya. Pada masa yang sama, kelemahan telah diketahui selama bertahun-tahun.

Ralat sukar dibetulkan kerana penyulitan

Keseluruhan masalah terletak pada penyulitan. WhatsApp bergantung pada penyulitan antara kedua-dua pengguna. Kerentanan itu kemudiannya menggunakan sembang kumpulan, di mana anda sudah boleh melihat mesej yang dinyahsulit di hadapan anda. Tetapi Facebook tidak dapat melihat anda, jadi pada asasnya ia tidak boleh campur tangan.

Pakar menggunakan versi web WhatsApp untuk mensimulasikan serangan itu. Ini membolehkan anda memasangkan komputer (pelayar web) menggunakan kod QR yang anda muatkan ke dalam telefon pintar anda.

Setelah kunci peribadi dan awam dipautkan, kod QR termasuk parameter "rahsia" dijana dan dihantar daripada apl mudah alih ke pelanggan web WhatsApp. Semasa pengguna mengimbas kod QR, penyerang boleh mengambil masa dan memintas komunikasi.

Selepas penyerang mempunyai butiran tentang seseorang, sembang kumpulan, termasuk ID unik, dia boleh, sebagai contoh, menukar identiti mesej yang dihantar atau menukar sepenuhnya kandungan mereka. Peserta sembang lain boleh dengan mudah ditipu.

Terdapat sedikit risiko yang terlibat dalam perbualan biasa antara dua pihak. Tetapi semakin besar perbualan, semakin sukar untuk menavigasi berita dan semakin mudah untuk berita palsu kelihatan seperti perkara sebenar. Jadi eloklah berhati-hati.

Sumber: 9to5Mac